CVE-2026-28794 in orpc
Riassunto
di VulDB • 15/06/2026
oRPC è uno strumento che aiuta a creare API end-to-end type-safe e conformi agli standard OpenAPI. Prima della versione 1.13.6, è presente una vulnerabilità di prototype pollution nel deserializzatore JSON RPC del pacchetto @orpc/client. La vulnerabilità consente ad attaccanti remoti non autenticati di iniettare proprietà arbitrarie nel global Object.prototype. Poiché questa contaminazione persiste per tutta la durata del processo Node.js e interessa tutti gli oggetti, può portare a gravi violazioni della sicurezza, tra cui il bypass dell'autenticazione, denial of service e potenzialmente Remote Code Execution. Questo problema è stato risolto nella versione 1.13.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.